Bir Amazon API Gateway API'si, bir SaaS platformunu çağırması gereken bir AWS Lambda işlevini çağırır. SaaS platformu, Lambda işlevini yetkilendirmek için benzersiz bir istemci belirteci (token) verir. Bir güvenlik mühendisi, belirteci beklerken şifrelemeli ve çalışma zamanında Lambda işlevine en uygun maliyetli şekilde sağlamalıdır. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, belirteci AWS Systems Manager Parameter Store'da bir SecureString parametresi olarak saklamak ve Lambda işlevinde AWS SDK kullanarak almaktır. Bu yöntem, belirteci beklemede şifreler ve çalışma zamanında Lambda işlevine güvenli ve uygun maliyetli bir şekilde sağlar. Parameter Store, yapılandırma verileri ve sırları depolamak için tasarlanmıştır ve SecureString tipi KMS anahtarlarıyla otomatik şifreleme sağlar. Diğer seçenekler neden uygun değil: Belirteci AWS Secrets Manager'da bir secret olarak saklamak da güvenli bir yöntemdir ancak Secrets Manager, daha çok veritabanı kimlik bilgileri gibi kısa ömürlü ve otomatik döndürme gerektiren sırlar için tasarlanmıştır. Bu senaryo için Parameter Store daha uygun maliyetli ve yeterlidir. API Gateway'de belirteç tabanlı bir Lambda yetkilendiricisi yapılandırmak, gelen API isteklerini yetkilendirmek için kullanılır, ancak Lambda işlevinin harici bir SaaS platformunu çağırmak için ihtiyaç duyduğu belirteci depolama ve sağlama sorununu çözmez. Belirteci şifrelemek için AWS KMS kullanmak ve bir ortam değişkeninde işlevine iletmek güvenli değildir. Ortam değişkenleri şifrelenmemiş olarak saklanabilir ve hassas bilgiler için önerilmez. Ayrıca, her dağıtımda manuel şifreleme/şifre çözme adımları gerektirebilir.